Acabo de darme cuenta de algo que me ha estado molestando sobre toda la situación de Cursor. ¿Sabes esa herramienta de codificación AI de 29.3 mil millones de dólares en la que todos están obsesionados? Resulta que el cerebro que impulsa Composer 2 no es lo que piensas.

La semana pasada, los desarrolladores empezaron a investigar las respuestas de la API y encontraron algo interesante en la ruta del modelo: kimi-k2p5-rl-0317-s515-fast. Kimi K2.5. Ese es el modelo de código abierto de Moonshot AI de China. No está exactamente oculto en la letra pequeña, pero tampoco se anuncia abiertamente.

El vicepresidente de Educación para Desarrolladores de Cursor lo reconoció unos días después, diciendo que aproximadamente el 25% del poder de cómputo proviene de la plataforma Kimi, y el resto de su propio entrenamiento. Llamó a la omisión en la publicación del blog "un error". Excepto que esta es la segunda vez. Cuando se lanzó Composer 1, la gente notó que usaba el tokenizador de DeepSeek—tampoco mencionado nunca. ¿En qué momento deja de ser un error?

Pero aquí está lo interesante: usar Kimi K2.5 en realidad es inteligente. El modelo es sólido para generación de código, es de código abierto, por lo que los costos de adquisición son básicamente cero, y para una empresa enfocada en la capa de producto y la integración de la cadena de herramientas, tiene todo el sentido comercial. El problema no es la elección técnica. Es el silencio.

Pero hay un problema de cumplimiento del que la gente no está hablando. Kimi K2.5 usa una licencia MIT modificada con un requisito específico: si un producto comercial tiene más de 100 millones de usuarios activos mensuales o más de 20 millones de dólares en ingresos mensuales, debes mostrar prominentemente "Kimi K2.5" en la interfaz de usuario. Cursor está haciendo aproximadamente $2B anualmente—eso es como 8 veces el umbral. El requisito está claro. Se ha ignorado.

No soy abogado, pero esto importa porque la industria del software pasó dos décadas aprendiendo a respetar las licencias de código abierto. Pasamos de demandas por GPL a que los SBOMs se convirtieran en una práctica estándar. La licencia de modelos de IA probablemente todavía está en las primeras etapas de ese mismo camino. Si las empresas pueden saltarse algo tan sencillo como agregar una etiqueta, ¿qué pasa con las cosas más difíciles—flujos de datos, auditabilidad del modelo, cumplimiento transfronterizo?

Existe un concepto llamado "Impuesto de Confianza" que se aplica aquí. Los usuarios que pagan 20 dólares al mes por lo que creen que es tecnología propietaria de vanguardia, y luego descubren que es un modelo de código abierto gratuito con algunos ajustes? Esa confianza se rompe. Especialmente cuando Cursor ya tuvo problemas de precios con el plan "Ilimitado" Pro, donde la gente agotaba los créditos mensuales en tres días.

La verdadera pregunta es qué es lo que los usuarios realmente pagan. Si son las capacidades del modelo, simplemente llama a la API de Kimi directamente—mucho más barato. Si es la experiencia del producto y la integración de la cadena de herramientas, sé claro al respecto en lugar de implicar que todo es desarrollado internamente. Apple no finge fabricar sus propios chips. Los fabrica TSMC. Nadie se siente engañado porque saben exactamente por qué están pagando.

Lo que realmente es interesante aquí es el cambio estructural más grande: los modelos de código abierto chinos se están convirtiendo en la base invisible de las aplicaciones de IA globales. DeepSeek, Tongyi Qianwen, Kimi—estas están alimentando silenciosamente cosas en todo el mundo. El CEO de Hugging Face dijo literalmente que el código abierto de China es "la fuerza más grande que está dando forma a la pila tecnológica de IA global." No es una exageración.

Pero para los usuarios empresariales, esto crea un problema real. Tus desarrolladores están dirigiendo código a través de modelos cuyos orígenes ni siquiera conoces. En industrias reguladas—finanzas, salud, gobierno—eso es una pesadilla de cumplimiento. La soberanía de datos, las regulaciones transfronterizas, todo se vuelve poco claro. Algunos llaman a esto "Shadow AI", como antes Shadow IT. Los desarrolladores integran estos modelos en IDEs y pipelines sin que los equipos de seguridad tengan idea.

La industria del software finalmente resolvió esto con los SBOMs—Lista de Materiales del Software. Enumera qué componentes usas, versiones, vulnerabilidades conocidas. La IA necesita lo mismo. El AI-BOM ya se está discutiendo en círculos de seguridad. Debería incluir: qué modelo base, fuente y procesamiento de datos de entrenamiento, método de ajuste fino, despliegue, flujos de datos.

Para los desarrolladores que eligen herramientas, esto significa auditar las fuentes de los modelos igual que auditan las licencias de dependencias. npm audit, pip check—eso son estándares. La auditoría de modelos podría ser lo próximo. Para los proveedores de IA, divulgar proactivamente las fuentes de los modelos no es una debilidad, sino una inversión en confianza a largo plazo. La primera empresa que haga del AI-BOM un estándar podría incluso cobrar un premium.

Bottom line: Kimi K2.5 es genuinamente buena. El trabajo técnico de Moonshot merece respeto. La experiencia del producto de Cursor es real. El problema nunca fue "se usó un modelo chino". En un ecosistema de código abierto, buena tecnología no debería tener una etiqueta nacional. El problema es que no nos lo dijeron. A medida que estos agentes de IA se integran más profundamente en nuestros flujos de trabajo, manejando más código, datos y decisiones, al menos deberíamos saber quién está realmente pensando detrás de escena.